Bloquer la publicité est le plus souvent une affaire d’extensions, installées navigateur par navigateur, appareil par appareil. Il existe une approche plus systématique : filtrer au niveau du réseau, pour tous les appareils à la fois, en s’appuyant sur une brique fondamentale d’internet, le DNS. Cet article en décrit le fonctionnement, puis les moyens d’en tirer parti, d’un DNS public jusqu’à son propre DNS local, auto-hébergé avec Pi-hole.

En brefLe DNS est l’annuaire d’internet : il traduit un nom de domaine (mansec.ch) en adresse technique (une IP). Les publicités sont presque toujours servies depuis des domaines distincts, qu’il faut résoudre dans cet annuaire. Un DNS filtrant joue le rôle de l’annuaire, mais refuse de donner l’adresse des domaines publicitaires : sans adresse, le navigateur ne peut pas charger la publicité. On peut recourir à un DNS public (AdGuard, Mullvad…) ou héberger son propre DNS local avec Pi-hole. La méthode est efficace et vaut pour tout le réseau, mais elle ne bloque pas tout : certaines publicités passent, et le dispositif se contourne.

Le DNS, l’annuaire d’internet

Chaque site web possède deux identités. Un nom de domaine, lisible par un humain, comme mansec.ch. Et une adresse technique, appelée IP, par exemple 203.0.113.42, la seule qui permette de joindre une machine à travers internet.

C’est le principe d’un annuaire. On connaît le nom d’un commerce, mais pour le joindre il faut d’abord retrouver ses coordonnées : on ouvre l’annuaire, on cherche le nom, on obtient l’adresse.

Le DNS (Domain Name System) est cet annuaire, à l’échelle d’internet. Quand vous tapez mansec.ch, votre appareil demande au DNS : « quelle est l’adresse de mansec.ch ? ». Le DNS renvoie l’adresse IP en une fraction de seconde, et le navigateur peut enfin se connecter. L’opération se répète à chaque visite.

Une page web, ce n’est pas une seule adresse

Une page web moderne n’est jamais servie par un seul domaine. Le texte vient du site que vous visitez ; les images, polices, vidéos, statistiques et surtout la publicité viennent souvent d’autres domaines, opérés par d’autres sociétés.

Chacun a un nom, et chaque nom passe d’abord par l’annuaire. Une bannière de pub n’est pas dessinée par le site que vous lisez : le navigateur va la chercher sur un domaine de pub, qu’il doit résoudre comme les autres. Avant d’afficher une pub, il en demande donc l’adresse au DNS, et c’est ce moment que l’on intercepte.

L’idée : ne pas donner l’adresse

Si l’annuaire refuse de donner l’adresse d’un domaine de pub, le navigateur n’a nulle part où se connecter : la pub n’est jamais téléchargée. Effet de bord appréciable : ce qui n’est pas chargé ne consomme pas de bande passante, et les pages s’affichent plus vite, en particulier sur mobile.

Tout le principe du blocage DNS tient dans ce schéma : la même requête, avec et sans filtre.

Le trajet d'une requête DNS filtrée Depuis un appareil, deux requêtes DNS rejoignent un DNS filtrant. La requête vers mansec.ch atteint le site (adresse rendue), celle vers un domaine de publicité bute sur une barrière et renvoie 0.0.0.0. DNS · LE FILTRE À LA SOURCE mansec.ch pub.exemple.com sans filtre, elle passerait Votre appareil DNS filtrant public ou Pi-hole Site chargé 192.0.2.20 Pub bloquée 0.0.0.0
Le DNS reste l'annuaire d'internet ; un DNS filtrant laisse passer les requêtes légitimes et renvoie les domaines publicitaires dans le vide.

Concrètement : adopter un DNS filtrant

Le mécanisme est le même partout : un DNS qui, pour chaque domaine demandé, le compare à une liste noire de publicité et de traçage, et refuse ceux qui y figurent. Reste à en choisir un : on peut passer par un service existant, ou héberger le sien.

Un DNS public prêt à l’emploi

C’est l’option la plus simple. On pointe son appareil ou son routeur vers un fournisseur qui filtre à votre place, souvent en passant par un canal chiffré (DoH/DoT). Quelques options grand public :

  • AdGuard DNS : filtre pub et traceurs, gratuit, chiffré.
  • Mullvad DNS : chiffré, gratuit, avec une variante qui bloque pub et traçage.
  • À distinguer : Quad9 bloque les domaines malveillants (malware, hameçonnage), pas la publicité.

On l’active une fois : réglage « DNS privé » sur Android, profil de configuration DNS sur iOS, option de DNS chiffré du navigateur, ou directement sur le routeur pour tout le foyer. Contrepartie : vous confiez toutes vos requêtes DNS, donc la liste des sites que vous visitez, à ce fournisseur. Choisissez-en un dont la politique et la juridiction vous conviennent, comme pour un VPN. Autre point : la liste de filtrage est celle du fournisseur, elle ne correspond pas forcément à vos besoins.

Héberger son propre DNS local : Pi-hole

Pi-hole est l’outil pour faire tourner votre propre DNS local et filtrant, chez vous. On l’installe sur un appareil bon marché et allumé en permanence (un Raspberry Pi, un vieil ordinateur, un conteneur), puis on configure les autres appareils de sorte qu’ils utilisent Pi-hole comme DNS. C’est le même principe qu’avec un fournisseur, mais la liste noire est la vôtre (vous l’ajustez), le journal des requêtes reste chez vous et cela couvre chaque appareil. Cet usage nécessite du matériel et de la maintenance (mises à jour).

Un Pi-hole sert aussi contre la télémétrie, ces données d’usage que téléviseurs connectés, systèmes d’exploitation et objets connectés envoient à leur fabricant. Les domaines de collecte se bloquent comme ceux de la pub, et le journal des requêtes montre quels appareils du réseau contactent quels domaines. Le blocage reste partiel : certains appareils ignorent votre DNS (DoH, ou DNS codé en dur si le routeur ne le redirige pas), et certains fabricants font passer télémétrie et services essentiels par les mêmes domaines, impossibles à bloquer sans casser les mises à jour.

Ce qui est bloqué, et ce qui ne l’est pas

  • Bloqué : les bannières, encarts, pixels de traçage et données de télémétrie hébergés sur des domaines dédiés. Ils ont leurs propres noms ; refuser de les résoudre suffit à les écarter, pour tout le réseau, y compris sur les appareils fermés (télévision, objets connectés) où l’on ne peut rien installer.
  • Pas bloqué : lorsque la publicité est servie depuis le même domaine que le contenu, le DNS ne peut plus les distinguer. C’est le cas des publicités YouTube, diffusées par les serveurs de la vidéo (les bloquer reviendrait à bloquer YouTube), comme de la publicité in-app d’Instagram ou de Facebook, servie depuis les domaines de l’application. Le CNAME cloaking joue sur la même limite : un traceur se masque derrière un sous-domaine du site pour échapper aux listes.

Les limites à connaître

  • Contournable : d’ordinaire, les requêtes DNS partent en clair sur le port 53, où votre DNS filtrant les voit et peut agir. En DNS-over-HTTPS (DoH), une application ou un navigateur envoie la requête dans son propre flux chiffré (port 443), vers son propre DNS, indiscernable du trafic web ordinaire : votre filtre ne la voit jamais et ne peut donc rien faire. Un DNS classique codé en dur, lui, reste visible sur le port 53, et le routeur peut le rediriger vers votre filtre. Seul le DoH échappe réellement au blocage.
  • Portée locale (pour un Pi-hole) : un Pi-hole ne filtre que les appareils qui l’utilisent, donc ceux du réseau domestique. En déplacement, un téléphone passé en 4G/5G repasse par le DNS de l’opérateur et n’est plus filtré, sauf à configurer sur l’appareil un DNS public filtrant (qui le suit partout) ou à ramener le trafic vers son réseau domestique via un VPN.
  • À retenir : une liste trop agressive peut bloquer un site légitime ; il faut alors l’ajouter en liste blanche.

Conclusion

Toute publicité passe par l’annuaire d’internet avant de s’afficher, et un DNS filtrant agit précisément là, en refusant de donner l’adresse des domaines publicitaires. La protection couvre tout le réseau, télévisions et objets connectés compris, au prix des limites vues plus haut. En pratique, commencez par un DNS public déjà filtrant, et passez à votre propre DNS local (Pi-hole) le jour où vous voudrez vos propres règles.

Sources